1. Strony i zastosowanie
Dokument sporządzono w języku polskim i angielskim. W przypadku rozbieżności pomiędzy wersjami językowymi rozstrzygająca jest wersja polska, chyba że bezwzględnie obowiązujące przepisy stanowią inaczej.
Niniejsza Umowa powierzenia przetwarzania danych („DPA”) stanowi Załącznik nr 1 do Regulaminu i obowiązuje, gdy Klient jako administrator powierza Usługodawcy przetwarzanie danych osobowych w związku z korzystaniem z ContentDeliver.
Usługodawca działa jako podmiot przetwarzający w szczególności wobec danych pracowników, Partnerów, zapraszanych osób, adresatów komunikacji oraz innych danych umieszczonych przez Klienta w Materiałach. Wobec danych konta Klienta, rozliczeń, bezpieczeństwa i własnego marketingu Usługodawca może działać jako odrębny administrator zgodnie z Polityką prywatności.
2. Przedmiot, czas, charakter i cel
Przedmiotem jest hosting, organizowanie, udostępnianie i techniczne przetwarzanie danych w Usłudze, wysyłka zaproszeń i powiadomień, przechowywanie Materiałów, publikacja w serwisach społecznościowych na polecenie Klienta lub Partnera oraz obsługa usuwania danych.
Przetwarzanie trwa przez okres Umowy oraz przez niezbędny czas usuwania, zwrotu, anonimizacji, kopii zapasowych, obowiązków prawnych i roszczeń.
Operacje mogą obejmować zbieranie, utrwalanie, organizowanie, przechowywanie, dopasowywanie, przesyłanie, udostępnianie, ograniczanie, usuwanie i anonimizowanie zgodnie z udokumentowanymi poleceniami Klienta.
3. Kategorie osób i danych
Kategorie osób obejmują przedstawicieli, pracowników i współpracowników Klienta, Partnerów i ich personel, osoby zapraszane, adresatów wiadomości, osoby widoczne w Materiałach oraz użytkowników kont społecznościowych, których dane Klient zgodnie z prawem umieszcza w Usłudze.
Kategorie danych mogą obejmować dane identyfikacyjne i kontaktowe, służbowe adresy e-mail, role i uprawnienia, treści komunikacji, identyfikatory kont społecznościowych, treści, zdjęcia, wideo, dane techniczne, historię operacji i publikacji oraz inne dane wprowadzone przez Klienta.
Usługa nie jest przeznaczona do celowego przetwarzania szczególnych kategorii danych ani danych o wyrokach. Klient nie będzie ich przekazywać, chyba że jest to niezbędne, zgodne z prawem i wcześniej uzgodnione z Usługodawcą.
4. Polecenia i obowiązki Klienta
Regulamin, konfiguracja konta, operacje Użytkowników oraz odrębne uzgodnienia stanowią udokumentowane polecenia Klienta. Usługodawca przetwarza dane wyłącznie na ich podstawie, chyba że prawo nakazuje inaczej.
Klient zapewnia zgodność poleceń z prawem, posiadanie podstaw prawnych, przekazanie wymaganych informacji osobom oraz legalność udostępnienia danych Usługodawcy, Partnerom i Platformom zewnętrznym.
Jeżeli polecenie narusza RODO, Usługodawca poinformuje Klienta i może wstrzymać jego wykonanie do czasu wyjaśnienia lub zmiany polecenia.
5. Poufność i dostęp
Osoby upoważnione przez Usługodawcę są zobowiązane do poufności i otrzymują dostęp wyłącznie w zakresie potrzebnym do utrzymania, wsparcia, bezpieczeństwa, rozliczeń i realizacji poleceń.
Dostęp administracyjny i możliwość technicznego odszyfrowania tokenu mogą być używane wyłącznie w uzasadnionych celach operacyjnych, diagnostycznych lub bezpieczeństwa i powinny być ograniczone uprawnieniami oraz logowane w odpowiednim zakresie.
6. Bezpieczeństwo
Usługodawca stosuje środki adekwatne do ryzyka, w szczególności hashowanie haseł, szyfrowanie tokenów społecznościowych, HTTPS, bezpieczne atrybuty cookies, CSRF, kontrolę dostępu, izolację organizacji, rate limiting, weryfikację podpisów webhooków, redakcję sekretów w logach, idempotencję, retry i chroniony proces usuwania.
Klient odpowiada za zarządzanie swoimi Użytkownikami, role, hasła, urządzenia, bezpieczeństwo kont społecznościowych, zakres automatyzacji i terminowe odbieranie uprawnień.
Środki mogą być zmieniane wraz z rozwojem technologii, o ile ogólny poziom ochrony nie zostanie istotnie obniżony.
7. Podprocesorzy
Klient udziela ogólnej zgody na korzystanie z podprocesorów wskazanych w aktualnym Wykazie podprocesorów. Usługodawca zapewnia, że podprocesor jest związany obowiązkami ochrony danych odpowiednimi do świadczonej usługi.
O planowanym dodaniu lub zastąpieniu istotnego podprocesora Klient zostanie poinformowany z co najmniej 14-dniowym wyprzedzeniem, chyba że pilna zmiana jest potrzebna dla bezpieczeństwa, prawa lub ciągłości usługi.
Klient może wnieść uzasadniony sprzeciw dotyczący ochrony danych. Strony podejmą próbę znalezienia rozsądnego rozwiązania; jeżeli nie jest to możliwe, Klient może zaprzestać korzystania z funkcji zależnej od podprocesora lub rozwiązać Umowę na koniec opłaconego okresu, bez zwrotu za okres już rozpoczęty.
8. Transfery międzynarodowe
Dane są zasadniczo hostowane w Polsce. Korzystanie ze Stripe, Meta, Google, LinkedIn lub Cloudflare może powodować dostęp lub transfer poza EOG. Usługodawca opiera takie transfery na mechanizmach udostępnianych przez dostawców, w szczególności decyzji stwierdzającej odpowiedni stopień ochrony, Data Privacy Framework lub standardowych klauzulach umownych, zależnie od danego przepływu.
Jeżeli charakter transferu tego wymaga, Klient upoważnia Usługodawcę do zawarcia standardowych klauzul umownych w jego imieniu w zakresie niezbędnym do świadczenia Usługi.
9. Pomoc Klientowi
Uwzględniając charakter przetwarzania, Usługodawca w rozsądnym zakresie pomaga Klientowi odpowiadać na żądania dostępu, sprostowania, usunięcia, ograniczenia, sprzeciwu i przenoszenia. Standardowe funkcje usuwania są dostępne w Usłudze; inne żądania należy zgłaszać na [email protected].
Usługodawca pomaga również, w zakresie dostępnych informacji, w obowiązkach dotyczących bezpieczeństwa, naruszeń, ocen skutków i konsultacji z organem. Pomoc wykraczająca poza standardowe funkcje może być odpłatna według uzgodnionej stawki, chyba że jest konieczna z powodu naruszenia zawinionego przez Usługodawcę.
10. Naruszenia
Usługodawca poinformuje Klienta bez zbędnej zwłoki po stwierdzeniu naruszenia danych powierzonych, podając dostępne informacje o charakterze zdarzenia, możliwych skutkach, środkach podjętych oraz punkcie kontaktowym.
Powiadomienie nie stanowi uznania winy ani odpowiedzialności. Klient odpowiada za zgłoszenia organowi i osobom, chyba że strony uzgodnią inaczej.
11. Usunięcie i zwrot
Po zakończeniu Umowy Usługodawca usuwa lub anonimizuje dane powierzone zgodnie z procesem Usługi, z wyjątkiem danych, które prawo wymaga zachować, danych potrzebnych do roszczeń oraz kopii zapasowych przechowywanych maksymalnie 30 dni.
Klient powinien pobrać potrzebne Materiały przed zakończeniem Umowy. Usługodawca nie jest zobowiązany do utrzymywania niestandardowego eksportu po rozpoczęciu nieodwracalnego purge.
12. Audyty
Na uzasadnione żądanie Usługodawca udostępni informacje konieczne do wykazania zgodności z art. 28 RODO. Audyt powinien być poprzedzony co najmniej 30-dniowym zawiadomieniem, odbywać się nie częściej niż raz w roku, nie zakłócać Usługi i chronić dane innych klientów oraz tajemnice przedsiębiorstwa.
Klient pokrywa koszty audytu, chyba że wykaże on istotne naruszenie obowiązków przez Usługodawcę. Audyt zdalny lub dokumentacyjny ma pierwszeństwo przed wizytą na miejscu.
13. Pierwszeństwo i odpowiedzialność
W razie sprzeczności DPA z Regulaminem w sprawach powierzenia danych pierwszeństwo ma DPA. Odpowiedzialność stron z DPA podlega ograniczeniom z Regulaminu w maksymalnym zakresie dopuszczalnym przez prawo, z zastrzeżeniem praw osób i organów wynikających z RODO.